Protección de datos
RGPD y protección de datos en Mail.Land
Redactado para delegados de protección de datos: dónde se alojan sus datos, qué proveedores los tratan y dónde, cuánto tiempo se conservan y qué condiciones los rigen.
Una nota sobre el cumplimiento
Alojar datos en la UE no hace por sí solo que un servicio cumpla el RGPD, y no utilizamos ningún sello de cumplimiento. Esta página expone los hechos para que usted pueda evaluar Mail.Land en relación con sus propias obligaciones. El Acuerdo de tratamiento de datos y la Política de privacidad son los documentos vinculantes; si esta página y esos documentos difieren, prevalecen estos últimos.
Quién es responsable de qué
- Mail.Land está operado por VENTRYA LTD, una sociedad registrada en Inglaterra y Gales.
- Respecto del correo que usted envía a través de Mail.Land y de los datos de los destinatarios que contiene, usted es el responsable del tratamiento y nosotros somos su encargado del tratamiento, en virtud de nuestro Acuerdo de tratamiento de datos (Artículo 28 del RGPD).
- Respecto de los datos de su cuenta, y de los datos limitados que utilizamos para prevenir abusos y proteger nuestra infraestructura de envío, somos un responsable del tratamiento independiente. Nuestra Política de privacidad describe ese tratamiento.
Dónde se alojan sus datos
La copia principal de sus datos está en Alemania.
| Qué | Dónde |
|---|---|
| Aplicación, API, bases de datos, servidores de correo, correo entrante almacenado y sus archivos adjuntos, exportaciones de datos, monitorización y registros | Hetzner, Alemania (Núremberg y Falkenstein) |
| Copia de seguridad secundaria cifrada | Infraestructura operada por VENTRYA LTD en Varsovia, Polonia (UE) |
| Envío de respaldo de las notificaciones del sistema de Mail.Land | Scaleway, Francia (París) |
| Pagos y facturación | Stripe, Irlanda y Estados Unidos |
| DNS, proxy del tráfico web y protección contra DDoS | Cloudflare, red global |
| Comprobación de la seguridad de los enlaces | Google Cloud Web Risk, global |
Cuándo pueden salir datos de la UE
No describimos Mail.Land como un servicio exclusivamente de la UE, porque tres de nuestros subencargados del tratamiento pueden tratar datos limitados fuera de la UE, incluso en los Estados Unidos:
- Cloudflare: termina el TLS del tráfico web que pasa por su proxy y trata, en su red global, datos de solicitudes web en tránsito, como direcciones IP y metadatos de solicitud, así como los registros de identidad y acceso de nuestros operadores.
- Stripe: datos de contacto de facturación y datos de pago, en Irlanda y en los Estados Unidos.
- Google: las direcciones completas de los enlaces de sus campañas y de los enlaces con seguimiento en los que se hace clic, incluidos los parámetros de consulta, por lo que también se envía cualquier dato personal que contenga un enlace. No enviamos por separado las direcciones de correo electrónico de los destinatarios.
Estas transferencias están cubiertas por las Cláusulas contractuales tipo de la UE, el UK International Data Transfer Addendum y el EU-U.S. Data Privacy Framework (con su extensión al Reino Unido), según establece el Anexo A del DPA para cada proveedor. VENTRYA LTD está establecida en el Reino Unido, que cuenta con una decisión de adecuación de la UE.
Subencargados del tratamiento
La lista completa, con las entidades jurídicas y las referencias contractuales, figura en el Anexo A del DPA.
| Proveedor | Finalidad | Lugar del tratamiento | Garantía para la transferencia |
|---|---|---|---|
| HetznerHetzner Online GmbH | Alojamiento: cómputo, bases de datos, servidores de correo, almacenamiento de objetos, monitorización y registros | Alemania (Núremberg, Falkenstein) | No se requiere (UE) |
| CloudflareCloudflare, Inc. | DNS, proxy inverso y protección contra DDoS para el tráfico web; control de acceso a los paneles de operación | Red global de borde (edge) | Cláusulas contractuales tipo y el EU-U.S. Data Privacy Framework |
| ScalewayScaleway SAS | Envío de respaldo de las notificaciones del sistema y transaccionales de Mail.Land | Francia (París) | No se requiere (UE) |
| StripeStripe Payments Europe, Limited | Procesamiento de pagos y facturación | Irlanda y Estados Unidos | Cláusulas contractuales tipo y el EU-U.S. Data Privacy Framework |
| GoogleGoogle LLC | Comprobación de enlaces para detectar phishing, malware y software no deseado (Web Risk API) | Global (Google Cloud) | Cláusulas contractuales tipo y el UK Addendum; Google LLC también participa en el EU-U.S. Data Privacy Framework |
Notificamos por correo electrónico a los usuarios Owner y Admin de su cuenta con al menos 14 días de antelación antes de incorporar o sustituir un subencargado del tratamiento. Puede oponerse por motivos razonables de protección de datos en un plazo de 14 días (Sección 8 del DPA).
Otros proveedores mencionados en nuestra Política de privacidad
- Microsoft (Microsoft Ireland Operations Limited): Realiza la traducción automática del texto público sobre incidentes y mantenimiento de nuestra página de estado (Azure AI Translator, Sweden Central). No recibe ningún dato personal, por lo que no es un subencargado del tratamiento.
Cuánto tiempo se conservan los datos
Según la Sección 7 de nuestra Política de privacidad. Los datos de procesamiento de correo electrónico siguen su plan.
| Datos | Conservación |
|---|---|
| Datos de procesamiento de correo electrónico | 30 días en Free, 90 días en Pro y 180 días en Max |
| Datos de referencia de quejas y rebotes (ID del mensaje y dirección del destinatario) | 60 días desde el envío |
| Eventos de analítica en bruto | 2 años |
| Datos analíticos agregados por hora | 3 años |
| Datos analíticos agregados por día | 5 años |
| Resultados del análisis de seguridad de enlaces | 30 días después del último uso del enlace; 180 días si el enlace se marcó como no seguro |
| Datos de la cuenta | Mientras la cuenta esté activa, más 30 días después de su eliminación |
| Registros de facturación y pagos | 7 años |
| Comunicaciones de soporte | 2 años |
Eliminación, exportación y solicitudes de los interesados
- El Owner de su cuenta puede exportar los datos de la cuenta desde el panel de control como un archivo ZIP de documentos JSON.
- El Owner puede programar la eliminación de toda la cuenta con un periodo de gracia de 7 a 90 días y cancelarla antes de esa fecha.
- Cuando finaliza el servicio, eliminamos o le devolvemos sus datos personales en un plazo de 30 días desde su instrucción y, si no hay instrucción, los eliminamos, salvo cuando la ley nos obligue a conservar datos concretos.
- A partir de ese momento, la Sección 9.1 del DPA nos permite conservar, únicamente para las finalidades indicadas: las copias de seguridad cifradas hasta que se sobrescriban en la rotación ordinaria, los registros de supresión, quejas y rebotes necesarios para no volver a enviar correo a esas personas, y los registros que conservamos como responsable del tratamiento independiente.
- Una solicitud de uno de sus destinatarios sobre sus datos se le remite a usted, como responsable del tratamiento. Le ayudamos a responderla, según establece la Sección 4 del DPA.
- Respecto de sus propios datos, escriba a nuestro contacto de privacidad. Respondemos en un plazo de 30 días.
Seguimiento de aperturas y clics
El seguimiento de aperturas está desactivado de forma predeterminada para el correo de marketing y el correo transaccional. El seguimiento de clics está activado de forma predeterminada para el correo de marketing y desactivado de forma predeterminada para el correo transaccional. La configuración que ya se aplicaba a un dominio antes del 4 de noviembre de 2026 se mantiene hasta que usted la cambie. Puede desactivar el seguimiento para toda su cuenta; en la UE y el Reino Unido, este tipo de seguimiento puede requerir el consentimiento del destinatario, lo cual usted decide como responsable del tratamiento.
Notificación de violaciones de datos
Si una violación de datos personales afecta a sus datos, se lo notificamos sin dilación indebida tras tener conocimiento de ella, tal como exige el Artículo 33(2) del RGPD. La notificación se dirige a su contacto de seguridad designado o, si no se ha designado ninguno, a los usuarios Owner y Admin de su cuenta.
El Acuerdo de tratamiento de datos
- El DPA cubre los requisitos del Artículo 28 del RGPD y del UK GDPR. Forma parte de nuestros Términos de servicio y entra en vigor cuando usted los acepta.
- Cuando publicamos una nueva versión, esta se aplica una vez que un Owner o Admin de su cuenta la acepta en el panel de control; hasta entonces, se aplica la versión anterior.
- Si la decisión de adecuación de la UE relativa al Reino Unido deja de aplicarse, se aplican entre usted y nosotros las Cláusulas contractuales tipo (Módulo Dos).
- Las auditorías comienzan con sus preguntas escritas y nuestra documentación; la Sección 4 del DPA establece cuándo procede después una auditoría o inspección.
Contacto de privacidad
Para preguntas sobre privacidad, solicitudes de los interesados y preguntas sobre el DPA, escriba a nuestro contacto de privacidad. También puede presentar una reclamación ante la Information Commissioner's Office (ICO) del Reino Unido o ante la autoridad de protección de datos de su país.
- Correo electrónico:
- [email protected]
- Dirección postal:
- VENTRYA LTD, 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom
Preguntas frecuentes
¿Cumple Mail.Land el RGPD?
No utilizamos ningún sello de cumplimiento. Ofrecemos un DPA conforme al Artículo 28, alojamos la copia principal de sus datos en Alemania, enumeramos cada subencargado del tratamiento con su garantía para la transferencia y le permitimos exportar y eliminar sus datos. Que su uso sea lícito depende también de su propia base jurídica para el envío.
¿Sale algún dato de la UE?
Sí, en casos limitados: Cloudflare, Stripe y Google pueden tratar datos limitados fuera de la UE, con las garantías indicadas anteriormente. La copia principal de sus datos permanece en Alemania.
¿Venden datos personales?
No. No vendemos datos personales a terceros.
¿Cómo nos enteraremos de un nuevo subencargado del tratamiento?
Por correo electrónico a los usuarios Owner y Admin de su cuenta, con al menos 14 días de antelación, indicando el proveedor, el tratamiento y su ubicación.
¿Necesita algo para su evaluación?
Escriba a nuestro contacto de privacidad o lea el DPA y su lista de subencargados del tratamiento.